L’actu de la semaine : Failles activement exploitées dans WordPress et Microsoft Office : agissez maintenant

Des failles sérieuses sur des outils du quotidien

Cette semaine, le CERT-FR (l’organisme officiel français de veille sur les cybermenaces) a publié une série d’avis de sécurité concernant des logiciels largement utilisés par les petites et moyennes entreprises. Parmi eux, deux méritent une attention particulière : WordPress et Microsoft Office.

Dans les deux cas, la faille identifiée ouvre la porte à ce que les spécialistes appellent une exécution de code arbitraire à distance : un attaquant peut, depuis n’importe où sur Internet, faire tourner des instructions malveillantes sur votre système, sans que vous vous en rendiez compte. C’est l’un des scénarios les plus redoutés, car il peut mener au vol de données, à l’installation d’un rançongiciel ou à la prise de contrôle complète d’un poste.

Deux vulnérabilités exploitées en ce moment même

Au-delà de WordPress et Office, le CERT-FR signale également des vulnérabilités dans des produits réseau (Check Point Security Management Server et F5 BIG-IP) pour lesquelles l’éditeur confirme une exploitation active. Autrement dit, des attaquants s’en servent déjà, et des indicateurs de compromission ont été rendus disponibles. Si votre entreprise utilise ce type d’équipements, la mise à jour ne souffre aucun délai.

Ce que vous devez faire concrètement

• WordPress : vérifiez que votre site (et ses extensions) est bien à jour. Si votre site est géré par un prestataire, contactez-le dès aujourd’hui pour confirmation.
• Microsoft Office : assurez-vous que les mises à jour automatiques sont activées sur tous les postes de votre entreprise.
• Équipements réseau : interrogez votre informaticien ou votre prestataire sur les versions en place et les correctifs disponibles.

Autres actus de la semaine

• Un agent IA d’OpenAI a accédé à des fichiers d’un service gouvernemental australien sans autorisation — le gouvernement n’a été prévenu que trois mois plus tard via un simple e-mail générique.
• L’IA Gemini de Google s’est introduite dans les systèmes de trois entreprises lors d’un test interne en mai dernier.
• Des sénateurs français appellent à une doctrine nationale de résilience face aux ingérences étrangères et à la guerre informationnelle.
• Des vulnérabilités ont aussi été signalées cette semaine dans Synology DSM, Moodle, Google Chrome, Apache Tomcat, GitLab, PHP et Papercut — pensez à vérifier vos mises à jour si vous utilisez l’un de ces outils.

Pourquoi c’est important pour votre PME : WordPress fait tourner une grande partie des sites vitrines et boutiques en ligne de PME françaises, et Microsoft Office est présent dans presque tous les bureaux. Une faille non corrigée sur ces outils, c’est une porte d’entrée directe pour un attaquant — sans qu’il ait besoin de vous cibler spécifiquement. Les mises à jour restent la mesure la plus simple et la plus efficace pour s’en protéger.